Linux下DHCP服务器搭建实战：地址池规划与dhcpd.conf配置详解

1. DHCP在局域网里到底干了什么活

自打开始在Linux上折腾DHCP服务，你就得先想明白一个问题：你公司的员工/家人/室友手里的设备，为什么插上网线或者连上Wi-Fi，不用填任何IP地址就能直接上网？背后就是DHCP在干活。DHCP全称Dynamic Host Configuration Protocol，动态主机配置协议，它干的事通俗点说就是：局域网里的“分房专员”。每个设备接入网络时自动申请一个IP、子网掩码、网关、DNS，用完了还回收再分配。

以前很多人碰到要上网的设备多了，手动配IP配到崩溃：笔记本、手机、打印机、IP电话、考勤机、访客设备……每个都得单独设。更烦的是手动配置容易冲突，A设备占用了B设备已经写死的IP，排查起来恨不得把网线拔光。这个时候在Linux服务器上搭一个DHCP服务，一次配置，全网设备自动获取，省心程度直接拉满。

这篇内容适合谁看？两类人：一是公司/工作室的运维或准运维，管着一个几十到几百台设备的局域网，想自己掌控地址分配；二是在家里或者实验室折腾软路由、NAS、树莓派的朋友，希望把地址分配权从家用路由器手里夺过来，做得更细、更可控。不管你是CentOS系的还是Debian/Ubuntu系，底层逻辑完全一致，把原理吃透，换个发行版就是换几个包名和路径的事。

2. 动手之前先把网络规划和分配逻辑盘清楚

2.1 服务器选型与基础要求

搭DHCP服务对硬件近乎没有要求。我见过有人用一台跑了好几年的旧笔记本，装个精简版Linux，跑着DHCP外加DNS缓存，带一整个办公区两百来台设备，稳得一批。只要这台机器系统稳定、网卡在线、常年不关机就行。虚拟机也行，但务必确认虚拟网卡工作正常，并且广播能通到目标网段。

系统选择上，Debian/Ubuntu系用isc-dhcp-server这个包，CentOS/RHEL 7系是老牌dhcp包，CentOS 8/Rocky/RHEL 8及以上用dhcp-server。包名略有不同，但配置文件都是同一个名字：/etc/dhcp/dhcpd.conf。这一点非常关键，你换系统不换配置逻辑，软件包安装方式虽然不同，但核心的配置语法通用。

2.2 地址池规划应该在装系统之前就做完

我见过太多人，服务装好了才开始想IP怎么分，结果网关、服务器、保留地址、自动分配地址全挤在一个小段里，乱成一锅粥。规划这件事必须在装DHCP之前完成。

举一个最常见的办公局域网场景：IP段192.168.10.0/24，网关是192.168.10.1，DNS服务器在192.168.10.2。我的建议是这么切：

这里的核心思路是：动态池和固定设备严格分开，中间留出缓冲带。为什么留缓冲带？因为一旦动态池蹭到了固定设备的段里，哪天新设备拿走了打印机留着的地址，你就要跟打印机“抢地址”了。中间那50个地址的缓冲，就是给你的手工配置机器一个安全区。

2.3 地址池大小怎么算：别一拍脑袋就定

地址池大小要结合设备实际规模来算。假设办公室里同时在线的手机、笔记本、电视、门禁加起来总共80台，你给它分配120个地址的池子，够用还能留余量。如果是访客网络和办公网络分开，访客池可以小一点，比如30个地址，因为访客设备流动性大，租约时间短，地址回收快。

租约时间的设定也直接影响地址池够不够用。租约时间短（比如10分钟），一个地址可以在一小时内服务多批访客；租约时间长（比如8小时），同一时间段的地址占用就会更持久。所以如果池子小、设备多，就适当缩短默认租约时间；池子宽裕，就可以放长一点，减少DHCP交互频率。

3. dhcpd.conf配置逐段拆解：每个参数背后都有讲究

3.1 全局参数：租约时间和权威声明

配置文件的核心是/etc/dhcp/dhcpd.conf，默认不存在一整个完整可用的配置，你需要自己从头写。打开文件前先备份一份原始的，这是好习惯。我先说全局段：

default-lease-time 600; max-lease-time 7200; authoritative;

default-lease-time的意思是客户端如果没有特殊要求，默认租约600秒（10分钟）。max-lease-time是客户端要求延长时能拿到的最大租约，7200秒（2小时）。有人说办公网10分钟太短了，客户端每隔十分钟就要续约一次，会增加网络里的广播流量。其实这个担心多余——DHCP续约是单播，只有重绑定时才广播，流量小到可以忽略。

authoritative这一行特别容易被新手忽略，但它是排障利器。加上它之后，DHCP服务器会明确告诉客户端“我就是这个网段合法的地址分配者”，当客户端上报一个自己配的地址、但服务器不认同时，服务器会直接回应DHCPNAK，让客户端放弃手头地址重新申请。不加这行，服务器面对地址冲突时的态度会比较“暧昧”，可能不回应，客户端就一直用自己的错误地址，排查起来非常被动。

3.2 subnet声明：你的主网段

全局参数下面就是核心的网段声明，把新建的所有参数都放在花括号里：

subnet 192.168.10.0 netmask 255.255.255.0 { range 192.168.10.100 192.168.10.200; option routers 192.168.10.1; option subnet-mask 255.255.255.0; option domain-name-servers 192.168.10.2; option domain-name "corp.local"; }

range定义了可动态分配的地址区间，routers就是客户端要用的默认网关，domain-name-servers指定DNS。注意这里的DNS既可以是内网DNS，也可以直接丢给公共DNS。内网如果做了解析需求，一定填内网DNS的地址；如果没有内网DNS，填公共DNS也能让客户端正常上网，但你在内网写的那些主机名就全解析不了了。

domain-name这个参数是给客户端发“域名后缀”的，Windows设备加入域或者解析短主机名时用得上，不需要就别写这行。

3.3 保留地址：给特定设备固定IP

打印机、考勤机、门禁主机这种设备，IP经常变会让IT崩溃。解决办法是保留地址（reservation），通过MAC地址把某个IP固定给某台设备：

host printer-01 { hardware ethernet 00:16:3E:41:2B:AF; fixed-address 192.168.10.20; }

host后面的名字是给人看的，随便起，但别用中文和特殊符号。hardware ethernet后面写设备的MAC地址，fixed-address写你要固定给它的IP。这样配置后，这台打印机无论怎么重启、换网线，拿到的永远是这个IP。

需要说明的是：保留地址和range地址池必须在同一个subnet块内。如果保留地址不在这个网段的range里，客户端应答会出问题，因为服务器会认为这个地址不该在这个网段使用。此外，MAC地址一定要核对清楚，别拿错一个字符，不然这台设备死活拿不到指定IP。

3.4 配置文件校验：先试运行再启服务

配置写完先别急着重启服务，用下面的命令检查语法：

dhcpd -t -cf /etc/dhcp/dhcpd.conf

没有输出就说明语法通过。继续用：

dhcpd -f -d -cf /etc/dhcp/dhcpd.conf

这条命令会让DHCP服务在前台跑起来，文件里每条配置加载情况都会清清楚楚地打在控制台里。确认无误后Ctrl+C退出，再正式启动服务。

4. 一次完整的搭建实录：从安装到验证全流程

4.1 安装软件包：不同发行版的操作差异

我在一台Debian 11的机器上实操过一遍完整流程，这里以它为例。先更新软件源：

apt update apt install isc-dhcp-server

CentOS/RHEL系的命令是：

yum install dhcp-server # 老系统 dnf install dhcp-server # 新系统

安装完成后，Debian系会有一个/etc/default/isc-dhcp-server文件，里面需要指定DHCP要监听的网卡接口。这台机器的网卡名是ens33（Ubuntu 18.04+的方式），配置这样填：

INTERFACESv4="ens33" INTERFACESv6=""

这一步是新手最容易卡住的地方：服务起来了，但日志报错说“Not configured to listen on any interfaces!”，就是因为你没指定监听网卡，系统根本不知道要在哪个网卡上接收DHCP请求。

4.2 配置一个真实可用的场景：80人办公室

假设场景：办公室网络192.168.10.0/24，网关192.168.10.1，DNS服务器192.168.10.2，打印机固定IP 192.168.10.20。设备总量约80台。完整配置如下：

default-lease-time 86400; max-lease-time 86400; authoritative; log-facility local7; subnet 192.168.10.0 netmask 255.255.255.0 { range 192.168.10.100 192.168.10.200; option routers 192.168.10.1; option subnet-mask 255.255.255.0; option domain-name-servers 192.168.10.2; option domain-name "corp.local"; host printer-01 { hardware ethernet 00:16:3E:41:2B:AF; fixed-address 192.168.10.20; } }

默认租约我直接用86400秒（24小时），原因很简单：固定办公网里设备相对稳定，24小时租约意味着每天设备开机时续约一次，交互很少，还不会因为租约过期导致某些老物联网设备掉线重连。

4.3 启动服务与开机自启

配置保存后启动：

systemctl restart isc-dhcp-server systemctl enable isc-dhcp-server systemctl status isc-dhcp-server

看到active (running)就是正常了。再用语法检查命令过一遍配置，确保没有临时手动改动引入错误：

dhcpd -t -cf /etc/dhcp/dhcpd.conf

这里插一句：dhcpd -t只检查语法，不检查IP段和路由配置对不对。所以实际操作中，把服务器网线拔掉再插上、客户端release后重新获取，才是验证配置是否合理的关键。

4.4 客户端验证：三个命令确认生效

服务端配置完成后，一定要拿到真实客户端上去验证。Linux客户端可以先释放再获取：

dhclient -r ens33 # 释放当前租约 dhclient ens33 # 重新获取 ip addr show ens33 # 查看IP是否拿到

Windows客户端就是ipconfig /release再ipconfig /renew。拿到IP之后，重点看三件事：地址是不是落在192.168.10.100-200的池子里；网关是不是192.168.10.1；DNS是不是192.168.10.2。如果拿到了192.168.10.10这种非池内地址，说明之前有旧租约缓存，先清缓存再看。

在服务器端看租约分配情况：

cat /var/lib/dhcp/dhcpd.leases

这个文件每一行都记录着哪台设备（MAC地址）在什么时候拿到了哪个IP，很直观。如果想看实时分配动态，用journalctl -u isc-dhcp-server -f监听日志，能看到DISCOVER/OFFER/REQUEST/ACK的完整流程。

5. 进阶玩法：多网段、中继和更细的地址分配策略

5.1 多网段共用一台DHCP服务器

大的办公室会划分多个VLAN，每个VLAN一个网段。一台DHCP服务器能不能同时给多个网段分配IP？能，但前提是服务器得能收到对应网段的DHCP请求。DHCP报文用的是广播，默认不会跨路由，所以需要路由器或三层交换机开启DHCP中继（ip helper-address / ip dhcp relay）。服务器上做多个subnet声明即可：

subnet 192.168.10.0 netmask 255.255.255.0 { range 192.168.10.100 192.168.10.200; option routers 192.168.10.1; } subnet 192.168.20.0 netmask 255.255.255.0 { range 192.168.20.100 192.168.20.200; option routers 192.168.20.1; }

注意：多个subnet共用一个DHCP服务时，服务器自身的IP必须和其中一个subnet匹配，否则服务启动时检测不到本机地址会拒绝启动。这就是为什么前面强调要规划好服务器IP放在哪个管理网段里。如果想彻底绕过这个限制，可以用shared-network的写法，但那种方式复杂，大多数场景用不上。

5.2 中继场景下的特殊性

当中继开起来之后，DHCP服务器看到的所有请求都来自于中继设备的IP，所以它判断客户端属于哪个网段，靠的是报文里中继附加的giaddr字段，也就是中继设备面向客户端的那个接口IP。服务器配置文件里写subnet时要跟这条子网地址段严格对应。如果中继配置出错，客户端会拿到一个完全不搭的IP，或者干脆一发请求就石沉大海。

在排障时最典型的现象是：客户端一直获取不到IP，但服务端日志里根本没有收到DISCOVER报文。这种情况问题八成出在中继或路由配置上，而不是DHCP本身。第一步就ping服务器的地址能不能通，第二步看中继有没有生效，这比抓瞎改配置有效得多。

5.3 租约记录与文件的管理

租约文件是DHCP服务最关键的“记忆体”。重启DHCP服务不会丢失租约，因为租约存在/var/lib/dhcp/dhcpd.leases里。新装系统时，这个文件需要存在，否则服务启动会失败。文件丢了，服务会重建一个空的，但已分配出去的IP会全部变成“无主”状态，此时部分客户端续约会被拒绝，得重拿一次IP。

日常维护不建议手动编辑租约文件，除非你知道自己在干什么。批量更换设备网段或清空租约时，可以停掉服务、备份旧的租约文件、删除或清空、再启动服务，让所有终端重新获取IP。这就是“全网IP重洗”的标准操作流程。

5.4 日志配置看得更清

默认情况下DHCP日志会走系统日志。但混在系统日志里很难查。个人经验是在dhcpd.conf里加一行：

log-facility local7;

然后在rsyslog里把local7转到独立文件，比如/etc/rsyslog.d/dhcp.conf里写：

local7.* /var/log/dhcpd.log

重启rsyslog和DHCP服务后，DHCP的分配、续租、冲突全都会单独落在一个文件里，排查问题效率翻倍。

6. 常见问题与排查技巧实录

6.1 服务启动失败：八成是配置语法或监听网卡问题

我遇到最多的启动失败有两种情况。第一种是配置语法问题，第二种是没指定监听网卡。语法问题跑一遍dhcpd -t就能定位到哪一行，缺分号引号这类低级错误一眼就能看出来。监听网卡问题前面说过了，检查/etc/default/isc-dhcp-server里的INTERFACESv4是不是填了正确的网卡名。

还有一种情况是单位里有人之前装过别的DHCP服务，端口被占用了。启动时提示Address already in use，这时执行：

ss -ulpn | grep 67

看到哪个进程霸占着67端口，把它处理掉。如果确认没有其它DHCP服务，多半是有同名服务重复启用了。

6.2 客户端拿不到IP：从层层过滤开始查

优先级最高的排查顺序：

1. 服务状态与日志：systemctl status和journalctl -ef看有没有收到DISCOVER。
2. 网络连通性：客户端能不能ping通DHCP服务器地址。
3. 防火墙：服务器和客户端之间的防火墙是否放行了UDP 67/68端口。
4. 交换机端口：如果客户端连的是trunk口或VLAN没配好，广播报文到不了你的服务器。

这里有一个典型的坑：服务器的防火墙开着，默认只放行SSH，DHCP报文直接就被DROP了。表现出来就是客户端一直拿不到IP，但服务器上一切看起来正常。在UOS/CentOS上用firewall-cmd或者ufw放行67端口，一条命令的事：

ufw allow 67/udp

或者firewalld:

firewall-cmd --permanent --add-service=dhcp firewall-cmd --reload

6.3 客户端拿到错误网段的IP

这种问题十有八九是网络里有别的DHCP服务器在“抢答”。办公网里有人私接了一个家用路由器当交换机用，它的DHCP功能没关，网段是192.168.1.0/24。结果部分设备拿到了192.168.1.x的地址，上不了网不知道怎么回事。

排查办法：在客户端上抓包看DHCP OFFER来自哪个服务器，或者到接入交换机上查dhcp snooping。最彻底的办法是把私接设备找出来，路由器当交换机用之前先把它的DHCP服务关闭。有条件就交换机上开启dhcp snooping，把信任口指定给合法的DHCP服务器，其它非信任口的DHCP应答报文直接丢弃。

6.4 常见配置错误速查表

6.5 一个隐藏很深的坑：DHCP报文穿越三层网络的“广播黑洞”

特别提示一个容易踩的场景：一个分公司的局域网里有两台三层交换机，划分为两个VLAN，DHCP服务器在VLAN1，VLAN2的客户端怎么都获取不到IP。检查了所有配置都没问题，最后发现三层交换机上完全没有开启DHCP中继。很多人以为DHCP广播能像交换机二层那样“自动通”，其实到了三层就止步了。

正确做法是在三层设备上给VLAN2接口配置ip helper-address，指向DHCP服务器的IP。一个VLAN一个helper，一个都别漏。有些设备上叫“DHCP Relay”，设置界面里找到对应VLAN的操作接口，填上服务器地址即可。这个坑我见人踩过无数次，这里给你提前打了预防针。

7. 搭建完成之后的日常维护心得

DHCP服务器这东西，一旦稳定跑起来，基本可以不闻不问。但有两件事需要定期关注：一是租约文件的膨胀问题，二是地址池的余量变化。租约文件会随着每次地址分配、续租不断追加记录，旧记录不会自动清理。建议每季度停服一次，清空租约文件重新生成，保证文件体积处于可控状态。清理流程很简单：停服务、备份dhcpd.leases、清空文件、启动服务。下游客户端最多进行一次续约重绑，不会有明显感知，挑个午休时间操作就行。

另一个维护重点是地址池余量监控。可以用crontab定期统计当前租约数，总量超过池子80%就报警提醒扩容或者清理僵尸设备。写一个简单的脚本，统计dhcpd.leases里的active租约数量，配合企业微信或钉钉机器人推送，运维成本极低但非常实用。我在某次维护中就是靠这个脚本提前发现了地址池即将耗尽的情况，在终端设备大规模掉线之前就扩容了range，避免了一次办公网络事故。

最后分享一个经验之谈：DHCP服务的技术含量不高，但它在整个网络里的影响力极大。改配置之前记得备份，改完之后记得先dhcpd -t，重启前先看一眼当前租约里有多少活跃设备，避免在高峰期操作引发全网掉线。沉稳操作，比什么高级技巧都管用。